シャークの掃除機：漏洞がロボットを移動するスパイに変える - SharkNinjaはパッチ適用を遅らせる

研究者は、SharkNinjaに対して、Sharkのロボット掃除機を遠隔操作し、カメラにアクセスし、機密データを抜き取ることができる脆弱性について、3月時点で警告していたと主張しています。修正はまだ待たれています。

事実

Geek Journalによると、研究者がSharkNinjaブランドのロボット掃除機に影響を与える脆弱性を特定しました（SharkNinjaは北米およびヨーロッパで広く普及している大衆向けブランド）。この脆弱性を悪用すると、攻撃者が以下のことが可能になります：

• ロボットを遠隔操作する；
• 搭載カメラを起動する；
• データを抜き出す（住宅内のマッピング、モデルによってはWi-Fiの識別子やセッショントークンなど）。

研究者は2026年3月に製造業者に警告したと主張しています。数ヶ月後、モデルによっては修正が部分的または存在しないままです。

誰が影響を受けるのか？

記事には影響を受ける製品の完全なリストが詳しく記載されていません。私たちが記事を書いている時点では、Sharkの接続可能な製品ライン全体が潜在的に影響を受ける可能性があると考える必要があります。SharkNinjaからの公式なアドバイザリーが、脆弱性のあるファームウェアと利用可能な修正について明確にするまでの間です。

この時点で、CVE識別子は公開されていません。

背景：家庭用IoT = 継続的な盲点

この事件は、よく文書化された連続性に位置づけられます：

• ロボット掃除機には、カメラ、LiDAR、マイクと詳細な住宅マッピングが搭載されています。これは、理想的なユーザーの監視データです。
• 消費者向けハードウェアメーカーの修正までの時間は、ソフトウェアベンダーよりもはるかに長いです。責任ある報告から修正まで数ヶ月の遅延は珍しくありません。
• AIVD/MIVDレポートは、現在、悪意のあるIoTが諜報目的で悪用されていることをどれだけかを文書化しています。スクリプトキディだけが悪用しているわけではありません。

今すぐ行うべきこと

Shark接続ロボットのユーザーは、公式な修正が出るまで：

1. ロボットをゲストVLANに分離する（別のWi-Fi SSID、家庭内ネットワークへのアクセスなし）；
2. メーカーがローカルモードを許可している場合、ロボットのインターネットアウトバウンドアクセスを切断するか、ルーターレベルでそのテレメトリアドレスをブロックする；
3. ロボットが任務に就いていないときは、カメラを物理的に塞ぐ（ステッカー）；
4. 定期的にSharkNinjaのサポートページを確認し、修正を含むファームウェアを確認する。

覚えておくべきこと

まだ、自然界で活発に悪用されていることは文書化されていませんが、責任ある警告にもかかわらず、修正までの期間が4ヶ月に近いです。この問題が大きくなれば、2027年に予定されているCyber Resilience Actで予定されているように、大衆向け接続機器に対するSBOMと修正までの最大期間の義務について、ヨーロッパで潜在的に存在する議論を再燃させる可能性があります。